취약점이란? 보안 취약점을 쉽게 설명합니다

WindowsMaciPhoneAndroid업데이트 2026-10-24

KISA(한국인터넷진흥원)의 정보보호 용어 사전은 보안취약점을 해커가 시스템의 보안정책을 침해하는 보안사고의 직접적인 원인이 되는 시스템 상의 보안 허점이라고 정의합니다. 해커는 이 허점을 악용해 시스템에 침입하고 정보유출, 시스템 파괴, 서비스 방해 같은 침해사고를 일으킨다고 설명합니다. 소프트웨어 제작사는 업데이트로 이를 고치며, 그 업데이트를 설치하는 것이 보안 패치입니다. 이 글은 2026년 10월 23일 기준 정보입니다.

간단한 답변

취약점은 공격자가 악용할 수 있는 소프트웨어나 시스템의 약점입니다. KISA는 보안사고의 직접적인 원인이 되는 시스템 상의 보안 허점이라고 정의합니다. 취약점은 연구자나 제작사가 찾아 책임 있는 조직에 알리고, 고친 뒤 보안 권고와 함께 공개됩니다. 업데이트를 바로 설치하는 것이 그 수정이 내 기기에 닿는 방법입니다.

보안에서 취약점은 무슨 뜻인가요?

쉽게 말해 있어서는 안 되는 빈틈입니다. KISA의 정의는 위와 같습니다. 영국 국가사이버보안센터(NCSC)는 용어집에서 취약점을 소프트웨어, 시스템, 절차의 약점이나 결함이라고 하고, 공격자는 이를 악용해 예를 들어 컴퓨터 시스템에 무단으로 접근한다고 설명합니다. 미국 국립표준기술연구소(NIST)는 위협이 악용하거나 촉발할 수 있는 정보 시스템, 보안 절차, 내부 통제, 구현상의 약점이라고 더 형식적으로 정의합니다.

함께 자주 나오는 말이 있습니다. NCSC는 익스플로잇을 시스템의 취약점을 이용해 무단 접근하거나 원치 않는 결과를 내는 도구를 만드는 것이라고 정의합니다. 취약점은 약점이고, 익스플로잇은 그 약점을 쓰는 수단입니다.

취약점이 있다는 것만으로 해킹당한 것은 아닙니다. 쓰일 수 있는 약점이라는 뜻이고, 그래서 취약점이 알려지면 누군가 쓰기 전에 고치라는 권고가 뒤따릅니다.

제로데이 취약점은 무엇인가요?

아직 고칠 방법이 나오지 않은 취약점입니다. KISA 용어 사전은 제로데이를 발견된 보안 취약점에 대한 보안 패치가 나오기 전 시점이라고 정의하고, 제로데이 공격은 패치가 나오기 전에 감행하는 공격이라고 설명합니다. 또 예전에는 취약점이 발견된 뒤 공격에 쓰이기까지 시간이 많이 걸렸지만, 최근에는 하루도 채 걸리지 않는 경우가 자주 있다고 말합니다.

취약점은 어떻게 발견되나요?

NCSC는 보안 취약점은 늘 발견되며, 사람들은 책임 있는 조직에 직접 알리고 싶어 한다고 말합니다. 미국 사이버보안·인프라보안청(CISA)은 연구자, 공급업체 등이 의심되는 취약점을 CISA에 신고해 조율을 맡길 수 있다고 설명합니다.

국내에서는 KISA가 신규 취약점 신고 포상제를 운영합니다. KISA 용어 사전에 따르면 2012년 10월부터 운영하는 제도로, 신규 취약점은 최신 버전의 소프트웨어에서 동작하면서 보안 업데이트 같은 공식 조치 방법이 아직 없는 취약점을 말합니다. KISA는 신고된 취약점을 분석하고 검증해 그 결과를 소프트웨어 개발사에 전달하고 보안 업데이트를 만들도록 요청하며, 신고된 취약점은 분기별로 평가해 최대 1,000만 원의 포상금을 지급한다고 설명합니다.

NCSC는 조직이 신고를 쉽게 받을 수 있게 하라고 권합니다. 취약점 공개 툴킷에서 보안 웹 양식 같은 분명한 연락 경로와, 신고자가 무엇을 기대할 수 있는지 밝힌 정책을 권하고, 웹사이트에 올려 두면 문제를 찾은 사람이 누구에게 알릴지 알 수 있는 작은 파일 security.txt도 소개합니다.

조율된 취약점 공개란 무엇인가요?

취약점을 질서 있게 고치고 알리는 절차입니다. CISA는 조율된 취약점 공개(CVD) 프로그램이 취약점 정보와, 있다면 관련 완화 조치를 제때 동시에 퍼뜨리도록 돕는다고 설명합니다. 신고자부터 제작사와 그 고객까지 관련된 모든 사람이 같은 때 정보를 받게 하는 것이 목표입니다.

CISA가 밝히는 단계는 이렇습니다. 신고가 접수되면 CISA가 그것이 진짜이고 범위 안에 있는지 확인하고, 공급업체와 함께 취약점을 확인하고, CVE 식별자가 필요한지 정하고, 보안 권고의 내용과 시점을 맞춘 뒤 공개합니다. 공급업체가 답하지 않거나 합리적인 수정 일정에 동의하지 않으면, CISA는 처음 연락을 시도한 날부터 45일이 지나면 패치가 있든 없든 취약점을 공개할 수 있다고 말합니다.

NCSC의 툴킷은 같은 과정을 조직 쪽에서 다룹니다. 신고를 무시하지 말고, 신고자에게 감사하고, 수정이 오래 걸리면 진행 상황을 알리고, 고친 뒤에는 알려 주라고 합니다.

취약점은 어떻게 이름과 수정을 얻나요?

많은 취약점이 CVE 번호를 받습니다. CISA는 CVE(Common Vulnerabilities and Exposures) 프로그램을 사이버보안 취약점을 식별하고 이름 붙이고 목록화하는 세계적으로 인정받는 체계라고 설명합니다. 보안 권고에 CVE-2026-109618 같은 번호가 붙는 이유입니다. 번호와 심각도 점수의 뜻은 CVE와 CVSS 점수 해설에서 설명합니다.

수정은 대개 패치로 나옵니다. KISA 용어 사전은 패치를 소프트웨어의 일부를 고치는 행위나 그 프로그램이라고 하고, 보안 패치와 보안 업데이트는 그 가운데 보안상의 취약점이나 오류를 해결하기 위한 것이라고 설명합니다.

업데이트는 왜 중요한가요?

업데이트가 수정을 내 기기로 가져오기 때문입니다. NCSC는 개인에게 앱과 기기 소프트웨어의 업데이트가 나오면 바로 적용하고, 업데이트 알림을 무시하지 말라고 권합니다. 업데이트 적용을 온라인에서 안전하게 지내기 위해 할 수 있는 가장 중요하고 빠른 일 가운데 하나로 꼽으며, 기기가 지원하면 자동 업데이트를 켜라고 합니다.

NCSC는 제조사가 결국 오래된 기기의 업데이트를 멈춘다고도 경고합니다. 지원이 끝난 기기는 보안 업데이트를 받지 못하고, 그런 휴대전화는 보안이 약해진다고 말합니다.

PHP2Shell은 취약점에 대해 무엇을 보여 주나요?

PHP2Shell은 이 과정 전체를 보여 주는 최근 사례입니다. PHP 개발팀은 2026년 10월 21일 로그인 없이 원격 코드 실행을 일으킬 수 있는 심각한 취약점 두 가지, CVE-2026-109618과 CVE-2026-109619를 발표하고 같은 날 수정 버전을 냈습니다. 권고문은 리눅스 배포판과 장기 지원(LTS) 업체가 패치를 미리 받았다고 밝힙니다. KISA는 10월 21일 보안 업데이트 권고를, 10월 22일 기업 보안 대응 수칙을 내고 PHP를 사용하는 기업에 즉시 조치하라고 권고했습니다. KISA는 대응 수칙에서 보안 업데이트 배포 전 취약점 정보가 유출되었다고도 적었습니다. 전체 내용은 PHP2Shell 해설에 있습니다.

자주 묻는 질문

취약점과 바이러스는 같은 건가요?

아닙니다. NCSC의 정의에서 취약점은 약점이나 결함이고, 익스플로잇은 그것을 이용하려고 만든 도구입니다. 취약점은 공격이 아니라 약점이므로, 누군가 쓰기 전에 고치라는 권고가 나옵니다.

모든 취약점이 고쳐지나요?

늘 빨리 고쳐지지는 않습니다. CISA는 공급업체가 답하지 않거나 합리적인 일정을 정하지 않으면 패치가 있든 없든 45일 뒤에 공개할 수 있다고 말합니다. 지원이 끝난 소프트웨어는 아예 수정을 받지 못할 수 있습니다. PHP 8.1 이하는 PHP 개발팀의 업데이트를 더 이상 받지 못합니다.

내 기기가 더 이상 업데이트를 받지 못하면요?

NCSC는 지원이 끝난 기기는 제조사의 보안 업데이트를 받지 못해 보안이 약해진다고 말하고, 내 모델이 아직 업데이트를 받는지 온라인에서 확인해 보라고 권합니다. 소프트웨어도 마찬가지입니다. PHP 버전의 지원 방식은 PHP는 안전할까?에서 설명합니다.

웹사이트에서 취약점을 발견했다면 어떻게 알리나요?

그 조직의 취약점 공개 정책이나 security.txt 파일을 찾아보세요. NCSC는 조직이 이를 공개하라고 권합니다. 최신 버전 소프트웨어에서 동작하고 아직 공식 조치 방법이 없는 취약점이라면, KISA가 신규 취약점 신고 포상제로 신고를 받아 분석한 뒤 개발사에 전달한다고 설명합니다.

보안 패치와 업데이트는 다른 건가요?

KISA 용어 사전은 보안 패치와 보안 업데이트를 함께 묶어 설명합니다. 패치는 소프트웨어의 일부를 고치는 것이고, 보안 패치나 보안 업데이트는 그 가운데 보안상의 취약점이나 오류를 해결하기 위한 것이라고 합니다.